TLS-ի վաթսուն վայրկյանի սպասման ժամկետ. ո՞ր ծայրն իրականում կանգնեց։

Հաճախորդը վաթսուն վայրկյան հետո հանձնվում է բանալիների շուրջ բանակցության մասին հաղորդագրությամբ, և նոութբուքը ոչ մի կարծիք չի հայտնում պատճառի մասին։ Այդ նախադասությունը նկարագրում է հաճախորդի համբերությունը, ոչ թե սերվերի վարքը։ Երեք բոլորովին տարբեր իրավիճակներ են առաջացնում այն. փաթեթը երբեք չի հասել ճիշտ ծառայությանը, ծառայությունը դեն է նետել այն նախքան որևէ բան գրանցելը, կամ ծառայությունը մերժել է այն և ասել դա մի տեղ, որտեղ հաճախորդը չի տեսնում։ Հենց մեկ փորձի համադրումը երկու ծայրերում է, որ տարբերում է դրանք։

Տվեք մեկ փորձին ինքնություն, որը կարող եք փնտրել

Գրի առեք մեկնարկի ժամը դրա ժամային գոտու հետ, պրոֆիլի անունը, նպատակակետը, որը հաճախորդը փաստացի լուծել է, պորտը և այն, թե կապը UDP է, թե TCP։ Եթե պրոֆիլը պարունակում է մի քանի հեռավոր գրառում, նշեք, թե որն է ընտրել այդ փորձը, քանի որ կրկնվող փորձը կարող էր անցնել հաջորդ գրառմանը՝ չփոխելով ձեր կարդացած ֆայլը։

Վերցրեք վերջնակետը ակտիվ մատյանից, ոչ թե ձեր հիշած ներբեռնումից։ Մասնավոր հասցեին ուղղված պրոֆիլը լիովին վավեր է և լիովին անօգտագործելի այն ցանցից, որը չի կարող երթուղավորել դեպի այն, և այդ դեպքը նույն տեսքն ունի, ինչ անջատված սերվերը։

Այնուհետև օպերատորից խնդրեք նույն պատուհանը նախատեսված օրինակում։ Ժամացույցների շեղումը բավական տարածված է, որ մի քանի րոպեի տարբերությունը համապատասխան իրադարձությունը կարող է բացակայող թվալ, ուստի գրանցեք տարբերությունը՝ փոխարենը եզրակացնելու, որ իրադարձություն չի եղել։

Չորս դիտարկում, չորս տարբեր հաջորդ քայլեր

Ինչ գրանցում է սերվերը, դա է որոշում ճյուղը։ Որևէ փորձի բացակայությունը մատնանշում է հասցեավորումը, տրանսպորտը կամ դեպի ծառայություն տանող ուղին։ Սովորական փոխանակումից առաջ անհետացող ներգնա փաթեթները մատնանշում են իրական ծառայության կառավարման ուղու պահանջները։ Անվանված մերժումը մատնանշում է այն օբյեկտը, որին այն անուն է տալիս։ Սերվերից դուրս եկող, բայց երբեք հաճախորդին չհասնող պատասխանները մատնանշում են վերադարձի ուղին։

Դատարկ հավելվածային մատյանն ավելի թույլ ապացույց է, քան թվում է։ Գրանցումը սկսվում է փոխանակման որոշակի կետից, և այդ կետից առաջ դեն նետված փաթեթները ոչ մի հետք չեն թողնում ձեր կարդացած ֆայլում։ Այնտեղ, որտեղ դա թույլատրվում է, օպերատորը կարող է ծառայության և ցանցի դիտարկումներով տեսնել՝ արդյոք ընդհանրապես ինչ-որ բան հասել է։

Ձեր նշումներում չորս արդյունքները առանձին պահեք։ Գայթակղությունը դրանք «սերվերը չի պատասխանում» արտահայտության մեջ միաձուլելն է, և հենց այդ արտահայտությունն է մարդկանց ուղարկում գաղտնագրեր փոխելու, երբ իրական խնդիրը հրապարակարգելքի կանոնն է։ Նշումը, որ գրանցում է միայն սպասման ժամկետ բառը, դեն է նետել այն տարբերությունը, որի համար հենց նոր վճարեցիք։

Ուղղեք այն փուլը, որը անվանում են ապացույցները

Ավարտված TCP կապը ապացուցում է միայն, որ ինչ-որ բան ընդունել է սոկետ։ Այն չի ապացուցում, որ լսողը ձեր կարգավորած OpenVPN ծառայությունն է, և նույն հոսթանվան վրա գտնվող վեբ սերվերը կատարյալ պատասխանում է զննարկիչին, մինչդեռ թունելի համար անկարևոր է։

Եթե սերվերը հաղորդում է ժամկետանց չեղարկման ցանկի մասին, դա շատ ավելի կոնկրետ փաստ է, քան հաճախորդի վերջնական սպասման ժամկետը, և ուղղումը պատկանում է վկայագրային մարմնին, ոչ թե ցանցին։ Եթե երկու ծայրերը համաձայն չեն կառավարման ուղու պաշտպանության կամ համատեղ նյութի շուրջ, գաղտնաբառի վերականգնումը ոչինչ չի փոխում, քանի որ հեռացումը տեղի է ունենում նախքան որևէ հավատարմագրի ստուգումը։

Փոխեք մի բան, որն ապացույցներն իսկապես աջակցում են, ապա կրկնեք նույն պրոֆիլը նույն վերջնակետի դեմ։ Պահպանեք առաջին նոր իրադարձությունը, եթե կապն ավելի առաջ է գնում, քանի որ այդ իրադարձությունը նոր խնդիր չէ, այլ հետաքննության հաջորդ փուլը։

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Ինչ է իրականում փոխում պատուհանի երկարացումը

Վաթսուն վայրկյանը հաճախորդի ձեռքսեղմման պատուհանն է, և համայնքի հաճախորդի ուղեցույցը փաստաթղթավորում է այն ընտրանքը, որը կարգավորում է այն։ Այն բարձրացնելը հաճախորդին ստիպում է ավելի երկար սպասել նախքան հանձնվելը։ Այն չի ստիպում բացակայող ծառայությանը հայտնվել և մերժված փաթեթը ընդունելի չի դարձնում։

Երկար պատուհանն ունի օրինական կիրառություն դանդաղ կապուղում կամ ծանր բեռնված սերվերում, և արժե փորձել այն, երբ ապացույցներ ունեք, որ փոխանակումը դանդաղ է ընթանում, այլ ոչ թե ընդհանրապես տեղի չի ունենում։ Այն առաջինը փորձելը պարզապես նույն ախտորոշումը հետաձգում է ևս մեկ րոպեով և ժամանակագրությունը դարձնում ավելի դժվար ընթեռնելի։ Եթե ժամանակագրությունը ցույց է տալիս փոխանակում, որը առաջ է գնում, ապա կանգ է առնում, պատուհանը բեռի ախտանիշ է, ոչ թե հասանելիության։